无管理员同意权限下，用C#通过AAD委派权限读取Office365邮件求助

完全可以通过Azure AD的委派权限实现无需管理员同意的Office 365邮件读取，前提是选择用户可自行授权的权限类型。你遇到的403 Forbidden错误，大概率是权限配置、令牌有效性或API调用环节出了问题，以下是具体分析和解决方案：

403错误的常见原因 #

• 权限范围不匹配：若你申请的是需要管理员同意的权限（如Mail.Read.All），但未获得管理员授权，会直接触发403。需改用用户可自行同意的Mail.Read权限。
• 令牌受众/范围错误：访问令牌的aud（受众）必须是https://graph.microsoft.com（Microsoft Graph端点），且scp声明中包含Mail.Read，否则API会拒绝请求。
• 用户无邮箱权限：当前授权的用户没有对应的Office 365邮箱，或邮箱被组织限制访问。
• API端点调用错误：需调用Microsoft Graph的邮件接口，而非旧版Exchange Web Services（EWS），错误的端点会导致权限验证失败。

正确实现步骤 #

1. Azure AD应用注册配置 #

• 在Azure门户注册应用，选择桌面/移动应用类型（根据你的C#应用类型调整），设置重定向URI为https://login.microsoftonline.com/common/oauth2/nativeclient。
• 进入API权限页面，添加Microsoft Graph的委派权限：搜索并勾选Mail.Read，无需点击"授予管理员同意"（用户登录时会自行授权）。

2. 获取有效访问令牌 #

使用Microsoft Identity Client库（MSAL）获取令牌，确保请求的scope包含Mail.Read。推荐使用设备码流（适合无UI的桌面应用）或授权码流（有UI的Web应用）。

3. 调用Microsoft Graph读取邮件 #

使用Microsoft Graph SDK直接调用邮件接口，简化开发流程。

C#代码示例 #

首先安装必要的NuGet包：

Install-Package Microsoft.Graph
Install-Package Microsoft.Identity.Client

以下是设备码流的实现示例：

using Microsoft.Graph;
using Microsoft.Identity.Client;
using System;
using System.Threading.Tasks;

class Program
{
    private static readonly string ClientId = "你的Azure AD应用客户端ID";
    private static readonly string[] Scopes = new[] { "Mail.Read" };

    static async Task Main(string[] args)
    {
        // 初始化MSAL客户端
        var pca = PublicClientApplicationBuilder
            .Create(ClientId)
            .WithAuthority(AadAuthorityAudience.AzureAdMultipleOrgs)
            .Build();

        // 获取令牌（设备码流）
        AuthenticationResult result;
        try
        {
            result = await pca.AcquireTokenInteractive(Scopes).ExecuteAsync();
        }
        catch (MsalException ex)
        {
            Console.WriteLine($"获取令牌失败: {ex.Message}");
            return;
        }

        // 初始化Graph客户端
        var graphClient = new GraphServiceClient(
            new DelegateAuthenticationProvider((requestMessage) =>
            {
                requestMessage.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", result.AccessToken);
                return Task.CompletedTask;
            }));

        // 读取收件箱邮件
        try
        {
            var messages = await graphClient.Me.MailFolders.Inbox.Messages
                .Request()
                .Select(m => new { m.Subject, m.From, m.ReceivedDateTime })
                .Top(10)
                .GetAsync();

            foreach (var message in messages)
            {
                Console.WriteLine($"主题: {message.Subject}");
                Console.WriteLine($"发件人: {message.From?.EmailAddress?.Name}");
                Console.WriteLine($"接收时间: {message.ReceivedDateTime}\n");
            }
        }
        catch (ServiceException ex)
        {
            Console.WriteLine($"调用Graph API失败: {ex.Message}");
        }
    }
}

验证令牌有效性 #

如果仍出现403，可将访问令牌复制到令牌解析工具中，检查：

• aud是否为https://graph.microsoft.com
• scp是否包含Mail.Read
• exp是否未过期

内容的提问来源于stack exchange，提问作者Ishan